Microsoft очищает 3000 учетных записей электронной почты, связанных с ИТ-работниками из Северной Кореи

Microsoft приостановила работу 3000 учетных записей Outlook и Hotmail, связанных с северокорейской схемой, в которой граждане КНДР выдавали себя за удаленных работников под ложными именами.

Официальные лица США давно предупреждали, что Северная Корея использует незаконную прибыль от взломов криптовалют, мошенничества и ИТ-операций для обхода международных санкций и финансирования военных программ. Власти теперь проводят зачистки так называемой глобальной преступной сети, которая тайно переводит миллионы долларов в авторитарный режим Ким Чен Ына.

Microsoft отключает 3,000 учетные записи электронной почты, связанные с Северной Кореей

Microsoft приостановила работу более 3000 учетных записей электронной почты в рамках зачистки международной схемы, организованной ИТ-работниками из Северной Кореи, выдававшими себя за удаленных технических специалистов.

Действия Microsoft последовали за скоординированной операцией с участием Министерства юстиции США, ФБР и других федеральных ведомств. Вместе они начали разрушать сложную заговорщическую сеть под кодовым названием «Jasper Sleet», выявленную подразделением Microsoft Threat Intelligence. Эта операция эксплуатирует рынки фриланса и технологические компании по всему миру.

Операция не только обманывает работодателей, но, как считается, напрямую финансирует ядерную программу Северной Кореи.

По данным подразделения Microsoft Threat Intelligence, схема включает обученных ИТ-специалистов из Корейской Народно-Демократической Республики (КНДР), которые принимают ложные личности, чтобы получить удаленную работу в иностранных компаниях, особенно в Соединенных Штатах.

Многие из этих работников являются высококвалифицированными специалистами, а некоторые работодатели неосознанно хвалят их как лучших сотрудников.

«Это не хакеры, взламывающие системы», — заявило Центр разведки угроз Microsoft (MSTIC). «Это квалифицированные разработчики, инженеры по обеспечению качества и специалисты по ИТ-поддержке, которые проходят собеседования, выполняют реальную работу и сливаются с толпой — за исключением одного критического момента: они работают на КНДР».

Во многих случаях сообщники, которые иногда являются гражданами США, облегчают доступ, сдавая в аренду свои личности или организуя так называемые «фермы ноутбуков», как описывают власти.

Фермы ноутбуков — это физические места, куда доставляются и обслуживаются ноутбуки, выданные не подозревающими ничего работодателями. По меньшей мере 29 таких объектов были обысканы правоохранительными органами, при этом на ноутбуках было установлено программное обеспечение для удаленного доступа или они были физически перенаправлены в Китай или Россию.

Министерство юстиции недавно подробно описало дело сотрудника маникюрного салона из Мэриленда, который будет приговорен в августе. Выяснилось, что этот человек одновременно выполнял 13 рабочих обязанностей от имени северокорейских ИТ-работников, заработав почти $1 млн в виде удаленных зарплат.

По оценкам Организации Объединенных Наций, программа ИТ-работников из Северной Кореи генерирует до $600 млн ежегодно. Эти доходы часто направляются на поддержку киберпреступной деятельности и ядерных амбиций страны.

Microsoft отвечает с помощью ИИ и инструментов обнаружения

В публикации в блоге на этой неделе Microsoft подробно описала приостановку работы 3000 учетных записей потребительской электронной почты, в основном Outlook и Hotmail, которые использовались северокорейскими оперативниками.

«Помимо 3000 потребительских учетных записей электронной почты, которые были недавно отключены, в рамках наших усилий по пресечению деятельности злоумышленников и защите наших клиентов от этой угрозы Microsoft продолжает отключать фиктивные учетные записи по мере их выявления и отслеживать использование ИИ со стороны злоумышленников», — сказал Джереми Даллман, старший директор Центра разведки угроз Microsoft.

Microsoft наблюдает, что северокорейские работники становятся все более изощренными. Теперь они используют инструменты ИИ для исправления грамматических ошибок в резюме и сопроводительных письмах, улучшают свои фотографии, чтобы выглядеть более профессионально или западно, и используют технологию FaceSwap для наложения своих изображений на украденные документы личности.

Некоторые даже экспериментируют с программным обеспечением для изменения голоса, чтобы помочь посредникам проходить собеседования от их имени. Хотя Microsoft пока не наблюдала использования комбинированных ИИ-голосовых и видеодипфейков во время реальных собеседностей в режиме реального времени, компания предупредила, что это может быть лишь вопросом времени.

«Если тактика окажется успешной, это позволит северокорейским ИТ-работникам проходить собеседования напрямую и больше не полагаться на посредников, выступающих от их имени», — заявила Microsoft.

Эти усиленные тактики ИИ позволяют оперативникам лучше маскировать свое происхождение, затрудняя для работодателей выявление тревожных признаков. Распространенные методы включают повторное использование имен, адресов электронной почты и шаблонов профилей на различных рабочих платформах, таких как LinkedIn, GitHub и фриланс-биржах.

Для обнаружения и защиты от этих тактик Microsoft развернула собственное решение на основе машинного обучения, которое помечает подозрительную активность с помощью анализа, который компания называет «невозможным путешествием во времени». Он включает мониторинг входов в систему из географически неправдоподобных мест в узких временных рамках, таких как доступ из США, за которым сразу следует доступ из Китая или России.

Microsoft также усиливает свои инструменты защиты личности и призывает компании внедрять строгие протоколы аутентификации и системы обнаружения рисков в реальном времени. Технологическая компания сотрудничала с правительственными агентствами США для обмена разведданными и создания технических решений, которые могут быть применены во всей индустрии кибербезопасности.

Компания пообещала сохранять давление на постоянно меняющуюся угрозу. «Jasper Sleet постоянно меняет и развивает свои профили», — сказал Даллман. «Мы наблюдаем, как они адаптируются, особенно с использованием ИИ, и работаем над тем, чтобы оставаться на шаг впереди».